vpnc, OpenConnect ці абгортка AnyConnect: што выбраць?

Усталёўваць адно пашырэнне за другім, пакуль нешта не падключыцца, — гэта марнаванне паловы дня, бо «Cisco VPN» апісвае як мінімум тры розныя схемы. Стары профіль з групавым сакрэтам і XAuth — не тая самая паслуга, што шлюз, сумяшчальны з AnyConnect, нават калі адна арганізацыя запускае абедзве. Пашырэнне павінна адпавядаць пратаколу і працэсу аўтэнтыфікацыі, а не лагатыпу пастаўшчыка. Пункт у меню паведамляе толькі, якая інтэграцыя прысутнічае, і ніколі — якую з іх прыме шлюз.

Спытайце ў адміністратара шлюза дзве рэчы: які пратакол і які кліент для яго зацверджаны.

Тры інтэграцыі, тры розныя мэты

NetworkManager пералічвае іх як асобныя інтэграцыі. NetworkManager-vpnc ахоплівае стары IPsec, сумяшчальны з Cisco. NetworkManager-openconnect дае франтэнд на базе OpenConnect для падтрыманых пратаколаў, уключаючы AnyConnect. Асобна пазначаная абгортка AnyConnect залежыць ад таго, ці ўсталяваны і наладжаны спачатку прапрыетарны кліент.

Гэта не варыянты напісання аднаго выканальнага файла. Усталёўка аднаго не робіць працаздольнымі іншыя, а пункт у меню — гэта факт інтэрфейсу, а не гарантыя сумяшчальнасці.

Аўтэнтыфікацыя вырашае больш, чым транспарт

Адпаведны транспарт — толькі пачатак. Уваходу можа спатрэбіцца сертыфікат, перадача ў браўзер, другі фактар або праверка стану канчатковага пункта, якую франтэнд трэцяга боку не рэалізуе. OpenConnect дакументуе некалькі механізмаў аўтэнтыфікацыі, але спіс функцый не абяцае, што кожны шлюз прыме кожны франтэнд. Групавы сакрэт за старога профілю нельга ўстаўляць у незвязанае поле аўтэнтыфікацыі толькі таму, што поле пароля выглядала падобна.

Атрымайце профіль і перадачу ўліковых даных для зацверджанага кліента. Перанос па візуальнай пазіцыі — гэта шлях, якім ўліковыя даныя трапляюць не туды.

Суправаджэнне — частка выбару

Уласная дакументацыя NetworkManager пазначае пашырэнне vpnc як непадтрымліванае і прапануе NetworkManager-libreswan як магчымую замену для таго ж сямейства пратаколаў IKEv1. Яна таксама папярэджвае, што профілі трэба ствараць нанова і што адпаведнасць па кожным параметры не правяралася. Гэта кірунак, а не інструмент пераўтварэння.

Сам IKEv1 састарэлы. Для зацверджанага старога злучэння аддзяліце кароткатэрміновае пытанне, які кліент запускаць, ад доўгатэрміновага пытання, калі шлюз зменіць пратакол.

Пакеты раздзяляюць службу і рэдактар

Пашырэнне NetworkManager звычайна пастаўляецца дзвюма часткамі: кампанент з боку службы, які ўздымае тунэль, і інтэграцыя з рэдактарам, якая дазваляе працоўнаму сталу наладзіць яго. Дыстрыбутывы дзеляць і называюць гэтыя пакеты па-рознаму, і ўсталёўка толькі кліента каманднага радка можа пакінуць рэдактар без формы. Праверыце абедзве паловы па спісе пакетаў вашага дыстрыбутыва і трымайце версію выканання сумяшчальнай з версіяй NetworkManager, у якую яна ўбудоўваецца.

Працаздольны асобны кліент даказвае, што пратакол працуе. Ён не даказвае, што інтэграцыя з працоўным сталом ўсталявана.

Запішыце дамову

Адказ адміністратара павінен даць пяць радкоў: пратакол, зацверджаны кліент або пашырэнне, працэс уваходу, патрабаваныя пакеты і ўладальнік, які суправаджае шлюз. Калі гэта запісана, наступная няспраўнасць мае адпраўную кропку, а не спіс пашырэнняў для спроб.

Калі адказ «тое, што падключыцца», то ў асяроддзі ёсць праблема з дакументацыяй, якая перажыве гэты тыкет. Спытайце яшчэ раз, трымаючы перад сабой канкрэтныя пункты меню.